В 2023 году вредоносная программа BlackLotus стала первым публично задокументированным UEFI-буткитом (программой, запускающейся до загрузки операционной системы), который обходил Secure Boot (защищённую загрузку) на полностью обновлённых системах Windows 11. Из-за компрометации цепочки доверия по всей отрасли вредоносный код выполнялся до полной загрузки Windows, когда многие средства защиты ещё не работали, сообщает Ars Technica.
Уязвимость, которую использовал BlackLotus, Microsoft закрыла ещё в 2022 году. В 2023 и 2024 годах компания выпустила дополнительные обновления: сначала добавила новый сертификат, который больше не доверял уязвимым загрузчикам, а затем предоставила возможность отзывать доверие к цифровому сертификату, которым подписывались старые уязвимые загрузчики Windows. Организации, пострадавшие от нового буткита BlackX, установили все эти исправления, и всё же стали жертвами атаки.
UEFI (Unified Extensible Firmware Interface, унифицированный расширяемый интерфейс прошивки) — это прошивка, которая запускается сразу после включения компьютера. Она загружает настройки конфигурации системы, определяет и инициализирует аппаратные компоненты и готовит компьютер к запуску операционной системы. Ещё одна важная функция UEFI — Secure Boot, механизм защиты, который выстраивает цепочку доверия, проверяя цифровые подписи каждого элемента загрузочного ПО перед его выполнением. Его задача — не дать злоумышленникам, получившим контроль над устройством физически или через заражение, запустить несанкционированный загрузочный код вместо легитимного программного обеспечения.
Цифровую подпись должен иметь и загрузчик — компонент, хранящийся на небольшом выделенном разделе диска и отвечающий за первичную загрузку операционной системы. И BlackLotus, и BlackX эксплуатируют «Baton Drop» — логическую ошибку в загрузчике Windows, позволяющую обойти Secure Boot и при определённых условиях извлечь ключи шифрования BitLocker. Эта уязвимость под номером CVE-2022-21894 стала известна в 2022 году. Microsoft исправила её в том же году, но не отозвала доверие к сертификату, которым подписывались старые уязвимые загрузчики. Этим пробелом и воспользовался BlackLotus, после чего загрузил вредоносный драйвер режима ядра.